L’adozione dei modelli ex d.lgs. 231/2001 tecniche, strumenti operativi e verbali degli organi di amministrazione e controllo Fabrizio Rossi – Ilaria Nocentini

Obiettivi Deliverables per la compliance 231 Attività operativa OdV Discussione (quando è opportuno averlo, quanto costa l’adozione e la sua applicazione, come muoversi nei Gruppi, alcune soluzioni pratiche di gestione del modello, …)

responsabilità della persona fisica Il D.lgs.231/2001 “Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica” In aggiunta alla responsabilità della persona fisica che materialmente commette l’illecito responsabilità “amministrativa”, dell’ente di appartenenza che ne ha tratto vantaggio.

Le sanzioni legate alla responsabilità amministrativa PECUNIARIE INTERDITTIVE PUBBLICAZIONE DELLA SENTENZA CONFISCA PECUNIARIE che conseguono sempre al riconoscimento della responsabilità dell’ente e vengono applicate con il sistema delle quote, in relazione alla gravità dell’illecito e alle condizioni economiche e patrimoniali della società, allo scopo esplicito di “assicurare l’efficacia della sanzione”; INTERDITTIVE previste in relazione alla loro efficacia dissuasiva in quanto capaci di incidere profondamente sull’organizzazione, sul funzionamento e sull’attività dell’ente. Esempio: a) l'interdizione dall'esercizio dell'attività; b) la sospensione o la revoca delle autorizzazioni, licenze o concessioni; c) il divieto di contrattare con la pubblica amministrazione; d) l'esclusione da agevolazioni, finanziamenti, contributi o sussidi e l'eventuale revoca di quelli già concessi; e) il divieto di pubblicizzare beni o servizi. PUBBLICAZIONE DELLA SENTENZA Prevede che la pubblicazione della sentenza possa essere disposta quando nei confronti dell’ente viene applicata una sanzione interdittiva: la pubblicazione avviene a cura della cancelleria del giudice ma a spese dell’ente. CONFISCA Prevede che la confisca del prezzo o del profitto del reato sia sempre ordinata nei confronti dell’ente con la sentenza di condanna, salvo per la parte che può essere restituita al danneggiato.

Dati 17 Categorie di reati 120 Reati Prossimi aggiornamenti (2015): Ecoreati Falso in bilancio

Elenco Categorie Reati ai sensi del D.L.gs 231/2001 Riferimento art. 231/2001 Anno Introduzione 1 Reati commessi nei rapporti con la Pubblica Amministrazione Artt. 24-25 2001 2 Delitti Informatici Art. 24-bis 2008 3 Delitti di criminalità organizzata Art. 24-ter 2009 4 Reati di falso nummario Art. 25-bis 5 Delitti contro l’industria e il commercio Art. 25-bis.1 6 Reati societari Art. 25-ter, 2002 7 Reati con finalità di terrorismo o di eversione dell’ordine democratico previsti dal codice penale e dalle leggi speciali Art. 25-quarter 2003 8  Pratiche di mutilazione degli organi genitali femminili Art. 25-quater.1 2006 9  Delitti contro la personalità individuale Art. 25-quinquies 10 Reati di abuso di mercato Art. 25-sexies 2005 11 Reati di omicidio colposo e lesione colpose gravi o gravissime, commessi con violazione delle norme antinfortunistiche e sulla tutela dell’igiene e della salute sul lavoro Art. 25-septies 2007 12 Ricettazione, riciclaggio e impiego di denaro, beni o utilità di provenienza illecita Art. 25-octies 13 Delitti in materia di violazione del diritto d’autore Art. 25-novies 14 Induzione a non rendere dichiarazioni o a rendere dichiarazioni mendaci all’autorità giudiziaria Art. 25-decies 15 Reati ambientali Art. 25-undecies, 2011 16 Impiego di cittadini di Paesi Terzi il cui soggiorno è irregolare Art. 25-duodecies, 2012 17 Reati Transnazionali L. n. 146/2006

La società (ente) è responsabile per i reati commessi nel suo interesse o a suo vantaggio (art.5) da: persone che rivestono funzioni di rappresentanza, di amministrazione o di direzione dell'ente o di una sua unità organizzativa dotata di autonomia finanziaria e funzionale nonché da persone che esercitano, anche di fatto, la gestione e il controllo dello stesso persone sottoposte alla direzione o alla vigilanza di uno dei soggetti di cui alla lettera a). L'ente non risponde se le persone hanno agito nell'interesse esclusivo proprio o di terzi

La responsabilità della società è esclusa se questa prova che (art.6 c. 1): L’organo dirigente ha adottato ed efficacemente attuato, prima della commissione del fatto, modelli di organizzazione e di gestione idonei a prevenire i reati della specie di quello verificatosi. Il compito di vigilare sul funzionamento e sull’osservanza dei modelli è stato affidato ad un organismo della società dotato di autonomi poteri di iniziativa e di controllo. le persone hanno commesso il reato eludendo fraudolentemente i modelli di organizzazione e di gestione; non vi é stata omessa o insufficiente vigilanza da parte dell'organismo di cui alla lettera b).

Pertanto elementi che ci interessano sono: Per la costruzione Linee Guida Confindustria 2014 L’ORGANISMO DI VIGILANZA IL MODELLO DI ORGANIZZAZIONE E CONTROLLO Per la gestione Deliverables Attività

I modelli devono rispondere alle seguenti esigenze (art.6 c. 2): Attività di RISK Management individuare le attività nel cui ambito possono essere commessi reati; prevedere specifici protocolli diretti a programmare la formazione e l'attuazione delle decisioni dell'ente in relazione ai reati da prevenire; individuare modalità di gestione delle risorse finanziarie idonee ad impedire la commissione dei reati; prevedere obblighi di informazione nei confronti dell'organismo deputato a vigilare sul funzionamento e l'osservanza dei modelli; introdurre un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel modello. I modelli devono rispondere alle seguenti esigenze(art.7 c. 4): 4. L'efficace attuazione del modello richiede: a) una verifica periodica e l'eventuale modifica dello stesso quando sono scoperte significative violazioni delle prescrizioni ovvero quando intervengono mutamenti nell'organizzazione o nell'attività; b) un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel modello. Per garantire la necessaria autonomia di iniziativa e l’indipendenza è indispensabile che all’Odv non siano attribuiti compiti operativi che, rendendolo partecipe di decisioni ed attività operative, ne minerebbero l’obiettività di giudizio nel momento delle verifiche sui comportamenti e sul Modello. Le fasi del risk management: Identificare le attività aziendali potenzialmente sottoposte al rischio di commissione dei reati penali richiamati dal decreto. Valutare la qualità delle procedure in essere (protocolli) per la prevenzione dei reati penali richiamati dal decreto. Gestire il rischio di commissione dei reati attraverso scelte e decisioni organizzative. Monitorare il modello di gestione dei rischi assicurando aggiornamenti/integrazioni/correzione dei protocolli esistenti.

LINEE GUIDA Confindustria schema di riferimento per la costruzione del modello I. Individuazione dei rischi e protocolli II. Codice etico (o di comportamento) e sistema disciplinare III. Organismo di vigilanza IV La responsabilità da reato nei gruppi di imprese V Modelli organizzativi e soglie dimensionali: una chiave di lettura per le piccole imprese

ATTIVITÀ Responsabilità degli amministratori in merito allo svolgimento Vigilanza ODV sull’effettivo svolgimento 1 Individuazione dei reati sensibili, cioè che potrebbero riguardare in astratto la società  Necessaria 2 Individuazione dei processi sensibili aziendali nei quali potrebbero potenzialmente essere commessi i reati 231. 3 Individuazione delle modalità attuative dei reati nell’ambito dei processi sensibili. 4 Individuazione di standard di controllo ritenuti adeguati alla prevenzioni delle modalità attuative 5 Valutazione del livello di adeguatezza dei controlli interni in essere vs standard individuati (gap analysis) 6 Azioni correttive (piano di miglioramento) 7 Monitoraggio sull’efficacia delle azioni correttive e aggiornamento del modello

Meccanismi di controllo preventivi dei reati necessari per dare sostanza al modello codice etico sistema organizzativo sufficientemente formalizzato procedure operative ed informatiche poteri autorizzativi e di firma comunicazione al personale e sua formazione …. Il Codice Etico È un documento ufficiale dell’ente che contiene l’insieme dei diritti, dei doveri e delle responsabilità dell’ente nei confronti dei “portatori d’interesse” (dipendenti, fornitori, clienti, Pubblica Amministrazione, azionisti, mercato finanziario, ecc.). Deve raccomandare, promuovere o vietare determinati comportamenti, al di là ed indipendentemente da quanto previsto a livello normativo, e può prevedere sanzioni proporzionate alla gravità delle eventuali infrazioni commesse. Sistema organizzativo sufficientemente formalizzato e chiaro Per quanto attiene all’attribuzione di responsabilità, alle linee di dipendenza gerarchica ed alla descrizione dei compiti, con specifica previsione di principi di controllo quali, ad esempio, la contrapposizione di funzioni. Nell’ambito del sistema organizzativo, attenzione andrà prestata ai sistemi premianti dei dipendenti. Procedure operative ed informatiche (sistemi informativi) tali da regolamentare lo svolgimento delle attività prevedendo gli opportuni punti di controllo (quadrature; approfondimenti informativi su particolari soggetti quali agenti, consulenti, intermediari). una particolare efficacia preventiva riveste lo strumento di controllo rappresentato dalla separazione di compiti fra coloro che svolgono fasi (attività) cruciali di un processo a rischio. Poteri autorizzativi e di firma assegnati in coerenza con le responsabilità organizzative e gestionali definite, prevedendo, quando richiesto, una puntuale indicazione delle soglie di approvazione delle spese. Comunicazione al personale e formazione La comunicazione deve riguardare l’applicazione del codice etico ma anche strumenti quali i poteri autorizzativi, le linee di dipendenza gerarchica, le procedure, i flussi di informazione. La comunicazione deve essere: capillare, efficace, autorevole, chiara e dettagliata, periodicamente ripetuta. Occorre costruire un adeguato programma di formazione rivolto al personale delle aree a rischio, appropriatamente tarato in funzione dei livelli dei destinatari.

Un esempio pratico CDA Delibere Cda di: Adozione Codice Etico Adozione Modello 231 – Parte Generale Adozione Modello 231 – Parte Speciale Nomina OdV Approvazione Piano di miglioramento Mandato AD o funzioni incaricate Presa d’atto Programma Vigilanza OdV Prese d’atto Relazione periodica OdV … Fascicolo Modello 231 Società XYZ CDA

Un esempio pratico ODV Deliverables OdV: Verbale di insediamento Regolamento di funzionamento Programma Vigilanza Verbali periodici Relazione periodica Proposte Aggiornamento e Piano di miglioramento Condivisione Piano della formazione Attività di verifica: compliance procedure – modello compliance attività operative – procedure contingency Fascicolo Modello 231 Società XYZ ODV Nel dettaglio, le attività che l’Organismo è chiamato ad assolvere, anche sulla base delle indicazioni contenute gli artt. 6 e 7 del D. Lgs. n. 231/2001, possono così schematizzarsi: • • • • • • vigilanza sull’effettività del modello, che si sostanzia nella verifica della coerenza tra i comportamenti concreti ed il modello istituito; disamina in merito all’adeguatezza del modello, ossia della sua reale (e non meramente formale) capacità di prevenire, in linea di massima, i comportamenti non voluti; analisi circa il mantenimento nel tempo dei requisiti di solidità e funzionalità del modello; cura del necessario aggiornamento in senso dinamico del modello, nell’ipotesi in cui le analisi operate rendano necessario effettuare correzioni ed adeguamenti. Tale cura, di norma, si realizza in due momenti distinti ed integrati: presentazione di proposte di adeguamento del modello verso gli organi/funzioni aziendali in grado di dare loro concreta attuazione nel tessuto aziendale. A seconda della tipologia e della portata degli interventi, le proposte saranno dirette verso le funzioni di Personale ed Organizzazione, Amministrazione, ecc., o, in taluni casi di particolare rilevanza, verso il Consiglio di Amministrazione; follow-up, ossia verifica dell’attuazione e dell’effettiva funzionalità delle soluzioni proposte. Per quanto riguarda il Comitato per il controllo interno, le società che ne siano dotate possono conferire a tale organo il ruolo di Organismo di vigilanza. Il Comitato, infatti, presenta una serie di caratteristiche che lo rendono idoneo a svolgere i compiti che il decreto 231 attribuisce all’Odv. In primo luogo, il Comitato per il controllo interno è dotato di autonomia ed indipendenza, in quanto deve essere composto, secondo le indicazioni del Codice di autodisciplina per le società quotate, da amministratori non esecutivi, la maggioranza dei quali indipendenti. È importante richiamare anche quanto previsto dalla riforma del diritto societario che richiede all’art. 2409-octiesdecies, co. 2, cod. civ., accanto ai requisiti di indipendenza dei suoi componenti, il possesso altresì di requisiti di onorabilità e professionalità, la cui disciplina è rinviata allo statuto. Inoltre, il Comitato per il controllo interno svolge un ruolo del tutto assimilabile a quello richiesto all’Odv. Il Comitato, infatti, presiede al sistema di controlli interni dell’impresa in quanto: assiste il Consiglio di Amministrazione nella fissazione delle linee di indirizzo e nella verifica periodica della loro adeguatezza e del loro effettivo funzionamento, assicurandosi che i principali rischi aziendali siano identificati e gestiti in modo adeguato; valuta il piano di lavoro preparato dai preposti al controllo interno e riceve le relazioni periodiche degli stessi; valuta, unitamente ai responsabili amministrativi della società ed ai revisori, l’adeguatezza dei principi contabili utilizzati e, nel caso di gruppi, la loro omogeneità ai fini della redazione del bilancio consolidato; valuta le proposte formulate dalle società di revisione per ottenere l’affidamento del relativo incarico, nonché il piano di lavoro predisposto per la revisione e i risultati esposti nella relazione e nella lettera di suggerimenti; riferisce al consiglio, almeno semestralmente, in occasione dell’approvazione del bilancio e della relazione semestrale, sull’attività svolta e sulla adeguatezza del sistema di controllo interno; svolge gli ulteriori compiti che gli vengono attribuiti dal consiglio di amministrazione, particolarmente in relazione ai rapporti con la società di revisione. Sulla base di quanto detto nei paragrafi precedenti, le opzioni possibili per l’ente, al momento dell’individuazione e configurazione dell’Organismo di vigilanza, possono essere così riassunte: - attribuzione del ruolo di organismo di vigilanza al comitato per il controllo interno, ove esistente, purché composto esclusivamente da amministratori non esecutivi o indipendenti; - attribuzione del ruolo di organismo di vigilanza alla funzione di internal auditing, ove esistente; - creazione di un organismo ad hoc, a composizione monosoggettiva o plurisoggettiva, costituito, in quest’ultimo caso, da soggetti dell’ente (es. responsabile dell’internal audit, della funzione legale, ecc., e/o amministratore non esecutivo e/o indipendente e/o sindaco) e/o da soggetti esterni (es. consulenti, esperti, ecc.); - per gli enti di piccole dimensioni, attribuzione del ruolo di organismo di vigilanza all’organo dirigente

Un esempio pratico i documenti del modello 231 della XYZ srl CODICE ETICO PARTE GENERALE Rev. 01 del …../2015 PARTE SPECIALE Rev. 01 del …../2015 Documento 1 Elenco reati presupposto Rev. 01 del …./2015 Documento 2 Matrice dei processi/reati Rev. 01 del …./2015 Documento 3 Schede reato Rev. 01 del …./2015 Scheda Legenda Rev. 01 del …./2015 Scheda Reato Categorie potenziali Rev. 01 del …./2015

I temi aperti: Il modello 231 come modello di riferimento per la compliance integrata Il nuovi standard ISO 9001:2015 La cooperative compliance